使用自訂條件進行安全威脅調查

步驟

1. 移至「偵測與回應 → 安全威脅調查」。
2. 按一下「進階」。
3. 選取「使用者定義」。
4. 指定調查的資料期間。
5. 選取下列其中一個選項：
   • 符合任何條件：尋找符合任一指定條件的物件
   • 符合所有條件：尋找符合所有指定條件的物件
6. 按一下「新條件」，然後選取條件類型並指定有效的資訊。
   如需詳細資訊，請參閱自訂條件支援的格式。

   若要儲存您的條件以供日後調查使用，請按一下 。
7. （選用）若要載入現有自訂條件，請按一下「已儲存條件」。
   1. 選取要載入的條件。
   2. 按一下「套用條件」。
8. 按一下「評估影響」。
   「相符端點」區段隨即出現。留出一些時間供調查執行。
9. 檢查「相符端點」區段中的結果。
   提供下列詳細資料：

   欄名稱	說明
   端點	包含相符物件的端點名稱
   IPv4 位址	包含相符物件的端點 IP 位址 IP 位址是由網路指派
   作業系統	端點所使用的作業系統
   使用者	Security Agent 首次記錄相符物件時已登入的使用者之使用者名稱 按一下使用者名稱可檢視有關使用者的更多詳細資料。
   首次記錄	Security Agent 首次記錄相符物件時的日期和時間
   詳細資訊	按一下此圖示可開啟「比對詳細資料」畫面。 「比對詳細資料」畫面會顯示下列詳細資料： 條件：評估中使用的條件 首次記錄：Security Agent 首次記錄相符物件時的日期和時間 CLI/登錄出現次數：在命令列或登錄項目中發現的相符項目數目 按一下值可顯示更多詳細資料。 受影響的端點：當分級為「惡意」時，代表在其中發現類似相符項目的端點數目 此計數僅計入過去 90 天內受影響的端點。

10. 如果要檢閱導致相符物件執行的一系列事件，請選取需要進一步分析的端點，然後按一下「產生根本原因分析」。
    隨即出現「產生根本原因分析」畫面。
11. 指定根本原因分析的名稱，然後按一下「產生」。
12. 按一下「根本原因分析」標籤以查看結果。此工作需要一些時間才能完成。